Sicurezzanazionale.gov.it — портал Системы информационной безопасности Республики (разведсообщество Италии, DIS/AISE/AISI). Замер главной страницы: 47 обращений, всего 2 домена. Это образцово чистый случай, причём в самой чувствительной категории серии. Сторонних трекеров нет вовсе: аналитика своя, на собственном домене, данные не уходят к третьим сторонам; единственный внешний контакт — статичные превью видео с YouTube. Cookie за сеанс не выставлено ни одной. Баннер согласия есть, и он симметричный — «принять» и «отклонить» равноправны, без тёмных паттернов. Нарушений не зафиксировано; единственное мягкое наблюдение — превью YouTube тянутся с домена Google, то есть IP посетителя уходит туда.
Хронология обращений
Декларация против факта
Зафиксированные трекеры
- Собственная аналитика на домене сайта
- YouTube (статичные превью видео)
Контекст
www.sicurezzanazionale.gov.it — официальный портал Системы информационной безопасности Республики, то есть разведывательного сообщества Италии (Департамент DIS и агентства AISE/AISI при Председателе Совета министров). Обработка данных подчинена д.лгс. 196/2003 в части, применимой к органам безопасности. Сайт информационный: о структуре, задачах, публикациях и культуре безопасности.
Замер: 47 обращений всего к 2 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Из двух доменов один — собственный, второй — YouTube, и только ради статичных превью видео. Никакой сторонней аналитики, рекламы или трекеров.
Кто получает данные
Тут был замечен: Google — и только в виде загрузки статичных превью видео с YouTube.
Аналитика у сайта собственная, развёрнутая на его же домене: данные навигации, как сказано в политике, собираются анонимно и только для статистики, к третьим сторонам не передаются. Это правильный для госсайта выбор — не отдавать аналитику внешнему провайдеру.
Был ли баннер согласия
Да, и сделан он корректно. Баннер предлагает равноправный выбор: «принять» и «отклонить» рядом, без перекоса в сторону согласия. Отказ (или закрытие) оставляет только технические настройки по умолчанию. По тексту баннера статистические cookie — первой стороны, не сторонних компаний.
В чистом сеансе выбор не делался, и за весь сеанс сайт не выставил ни одной cookie. То есть механизм согласия здесь не декоративный, а реально работает как ворота: без согласия нетехнические cookie не ставятся.
Что срабатывает до согласия
Практически ничего значимого. До какого-либо решения отрабатывает лишь:
- собственная аналитика на домене сайта (анонимная, данные не уходят вовне);
- загрузка четырёх статичных превью видео с YouTube.
Ни Google Analytics, ни рекламных сетей, ни пикселей соцсетей, ни сторонних бирж, ни идентификаторов посетителя в сеансе нет. Cookie не выставлены вовсе.
Единственное наблюдение — превью с домена Google
Отметить стоит ровно одно, и мягко. Превью видео грузятся с img.youtube.com, то есть с инфраструктуры Google. Сами по себе это статичные картинки — без встроенного плеера и трекинг-скриптов, и политика прямо оговаривает, что функциональность YouTube настроена так, чтобы не отслеживать поведение пользователей. Но при загрузке любого внешнего ресурса его сервер получает IP-адрес посетителя — а здесь это домен Google в США. Для рядового сайта мелочь; для портала разведсообщества — единственная деталь, которую при желании можно закрыть, разместив превью у себя. На оценку «нарушений не зафиксировано» это не влияет.
Вывод
Sicurezzanazionale.gov.it — пример того, как должен выглядеть чувствительный госсайт. Сторонней слежки нет: аналитика собственная и анонимная, рекламы и трекеров нет, cookie не выставляются, а баннер согласия сделан честно — с равноправным отказом, без тёмных паттернов, и реально удерживает нетехнические cookie до согласия. Единственное, что вообще уходит вовне, — статичные превью видео с домена Google, и политика этот сторонний сервис прямо называет и оговаривает его настройку без трекинга. Главное, что должен вынести читатель: образцовая конфигурация технически достижима, и здесь она реализована — даже у органа безопасности, где это особенно уместно. Контраст с коммерческими сайтами серии показывает, что дело не в технических ограничениях, а в выборе.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
a386bb496994cd508615bb3b81aefe8a3e75cf649ddf0976f8d7a2306586f91aХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — sicurezzanazionale.gov.it Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта sicurezzanazionale.gov.it. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-sicurezzanazionale-gov-it/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — sicurezzanazionale.gov.it To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website sicurezzanazionale.gov.it. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-sicurezzanazionale-gov-it/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]